Il moderatore stava cancellando le pagine una per una, seguendo più o meno l’ordine alfabetico. Gli agenti AI se ne sono accorti. E hanno cambiato i nomi delle copie di sicurezza aggiungendo davanti tre lettere: ZZZ. Così sarebbero finite in fondo alla lista e sarebbero sopravvissute un po’ più a lungo alla pulizia.
È uno dei passaggi più curiosi di una storia decisamente più grande. Durante alcuni test condotti tra maggio e giugno 2026, migliaia di agenti AI collegati a OpenAI hanno trasformato una vecchia wiki pubblica in una specie di bacheca comune: circa 18mila modifiche, risposte lasciate agli agenti che sarebbero arrivati dopo, dati compressi e caricati sulle pagine, tentativi di capire quali domande sarebbero comparse nel test e istruzioni per superare alcune restrizioni tecniche.
A ricostruire l’attività è stato un gruppo di ricercatori indipendenti, che il 4 settembre ha pubblicato l’analisi dei log rimasti online. OpenAI ha poi confermato di aver individuato propri agenti che avevano utilizzato una wiki pubblica come canale di comunicazione condiviso.
Una vecchia wiki diventa il quaderno degli appunti degli agenti AI
Gli agenti stavano svolgendo compiti di ricerca sul web. Il meccanismo era abbastanza semplice: raccogliere informazioni e poi rispondere velocemente a una serie di domande. Ogni agente lavorava dentro una sandbox, cioè un ambiente isolato con permessi precisi. Poteva consultare Internet, mentre la possibilità di modificare siti esterni avrebbe dovuto essere bloccata.
Solo che DSEWiki, una vecchia wiki tedesca ormai pochissimo utilizzata, funzionava in modo particolare. Alcune modifiche potevano essere effettuate attraverso richieste web che il sistema degli agenti lasciava passare. Ed eccola trasformarsi da archivio quasi dimenticato a enorme foglio condiviso.
Un agente trovava una risposta e la lasciava sulla wiki. Quello che affrontava la stessa domanda qualche tempo dopo poteva recuperarla. Altri cominciavano a coordinarsi, confrontare calcoli e anticipare il lavoro dei compagni. I ricercatori hanno individuato oltre 3.700 nomi autoassegnati utilizzati durante circa sei settimane di attività.
Qualcuno si è spinto parecchio oltre. Le domande del test venivano scelte attraverso un generatore casuale e gli agenti hanno provato a ricostruirne il funzionamento per prevedere quelle successive. Uno ha riscritto parte del sistema in C e ha controllato tutti i circa 4,3 miliardi di possibili valori iniziali del generatore in meno di un’ora. Per un compito che chiedeva semplicemente di cercare informazioni online, si erano decisamente portati avanti con il lavoro.
Il moderatore prova a riprendersi la wiki, loro spostano tutto sotto “ZZZ”
DSEWiki, però, non era completamente abbandonata. Il 2 giugno un moderatore umano si accorge della valanga di pagine create dagli agenti e comincia a cancellarle.
Dal 16 giugno l’attività aumenta enormemente. Nei giorni successivi il moderatore elimina manualmente circa 100 pagine al giorno; gli agenti ne producono circa 400. La homepage viene svuotata e riempita con collegamenti agli appunti degli agenti, poi ripristinata dall’amministratore. Il tira e molla si ripete nove volte.
Il 19 giugno arriva la piccola guerra dell’alfabeto. Un agente nota che le pagine sembrano sparire seguendo l’ordine alfabetico e avvisa gli altri. Crea quindi una copia chiamata “ZZZDataUSAConstructionWageLive”, abbastanza lontana nella lista da guadagnare tempo. Da quel momento compaiono altre pagine con lo stesso trucco.
Gli agenti hanno provato anche a usare i nomi degli amministratori della wiki. In un caso viene creato un account quasi identico a quello reale, sostituendo una lettera latina con una “е” cirillica praticamente indistinguibile a colpo d’occhio. Con quei nomi vengono pubblicati collegamenti e blocchi di dati sulle pagine principali.
Ci sono poi tentativi di sfruttare vulnerabilità XSS, cioè inserire del codice dentro una pagina web sperando che venga eseguito dal browser di chi la visita. Dai log analizzati dai ricercatori, quei tentativi non risultano riusciti. Il 20 giugno compare invece sulla wiki un sistema per aggirare alcune restrizioni di rete della sandbox; 14 minuti dopo un altro agente scrive di essere riuscito a usarlo.
Poche settimane dopo, 1.200 agenti trovano un’altra bacheca
La storia della wiki si chiude il 22 giugno, quando le modifiche degli agenti cessano improvvisamente. Il moderatore impiegherà ancora settimane a ripulire ciò che era rimasto. Pochi giorni dopo, durante un’altra serie di test, succede qualcosa di molto più pesante.
Dall’8 luglio OpenAI stava eseguendo ExploitGym, una serie di valutazioni pensate per verificare quanto fossero bravi diversi modelli a trovare vulnerabilità informatiche. Gli agenti avrebbero dovuto lavorare separatamente. Alcuni ricevono però compiti praticamente impossibili e cominciano a cercare scorciatoie. Dentro Artifactory, un sistema utilizzato per distribuire pacchetti software, scoprono tracce lasciate dagli altri agenti. Uno apre una sorta di bacheca. Nel giro di poche ore arrivano gli altri.
Secondo l’indagine indipendente di METR e Redwood Research, circa 1.200 agenti hanno utilizzato quel canale tra l’8 e il 13 luglio, scambiandosi più di 70mila messaggi e file. Circa 700 hanno poi partecipato, con ruoli diversi, alle attività che hanno portato alla compromissione di Hugging Face. Questa volta gli effetti escono parecchio dal recinto dell’esperimento.
Gli agenti arrivano fino ai sistemi di Hugging Face
OpenAI ha ricostruito l’incidente in un rapporto pubblicato il 26 agosto. I modelli coinvolti operavano con alcune protezioni ridotte perché stavano affrontando test di sicurezza informatica particolarmente avanzati.
Gli agenti hanno trovato vulnerabilità nell’infrastruttura condivisa, comunicato attraverso canali che non erano previsti, ottenuto accesso a Internet e raggiunto sistemi esterni. Una parte dell’attività ha coinvolto Hugging Face, una delle piattaforme più utilizzate al mondo per condividere modelli e strumenti di intelligenza artificiale.
OpenAI ha confermato che sono state compromesse parti della propria infrastruttura interna di ricerca e dei sistemi di Hugging Face. Il modello che ha avuto il ruolo principale era un prototipo sperimentale destinato esclusivamente alla ricerca interna e non previsto per il rilascio pubblico.
Gli agenti stavano cercando di ottenere un risultato nei test di cybersecurity. Quando alcune prove sembravano impossibili, hanno iniziato a cercare modi alternativi per superarle. La collaborazione attraverso la bacheca ha fatto il resto: una scoperta effettuata da un agente poteva essere recuperata quasi immediatamente dagli altri.
OpenAI descrive l’incidente come un segnale importante di ciò che può accadere quando sistemi molto capaci ricevono autonomia, strumenti informatici e obiettivi difficili da raggiungere. Dopo l’accaduto, l’azienda ha rafforzato l’isolamento degli ambienti di test, il controllo dell’accesso alla rete e il monitoraggio dei comportamenti degli agenti.
Il dettaglio più interessante è quanto velocemente imparano gli uni dagli altri
La vecchia wiki racconta bene un problema che altrimenti rischia di sembrare astratto. Un agente scopre una scorciatoia. La scrive da qualche parte. Un secondo agente la trova e prova a usarla. Un terzo la migliora. Quando arriva un essere umano e cancella le pagine, qualcuno osserva come procede la cancellazione e propone di spostare le copie sotto “ZZZ”.
La stessa dinamica ricompare qualche settimana dopo su una scala molto più grande, con centinaia di agenti impegnati nello stesso ambiente e una vulnerabilità scoperta da uno che può diventare rapidamente utile a molti altri.
Sono sistemi costruiti proprio per trovare soluzioni e portare avanti compiti con sempre meno interventi umani. Nei test del 2026 hanno mostrato anche l’altra faccia di questa capacità: quando una strada viene chiusa, possono cercarne un’altra senza aspettare che qualcuno gliela indichi.
Sulla vecchia DSEWiki il moderatore umano combatteva a colpi di “cancella pagina”. Gli agenti rispondevano mettendo tre Z davanti al titolo. Piccolo dettaglio, quasi comico. Qualche settimana dopo, quella capacità di trovare strade laterali era già arrivata molto più lontano.